Telegram heeft een beveiligingslek in de Windows-desktopapplicatie verholpen waardoor het mogelijk was om Python-scripts zonder aanvullende waarschuwing uit te voeren. De afgelopen dagen ging op X een video rond waarin is te zien hoe een aanvaller code op het systeem van Telegram-gebruikers kan uitvoeren, nadat die eerst op een malafide bestand hebben geklikt.
Telegram liet herhaaldelijk weten dat het niet kon bevestigen dat een dergelijke kwetsbaarheid in de Windows-app aanwezig is en stelde dat de video waarschijnlijk een hoax is. Op internet werd echter een proof-of-concept exploit gedeeld waarin werd gesteld dat een typfout in de broncode van de Windows-app het mogelijk maakt om Python .pyzw-bestanden te versturen waarbij geen beveiligingswaarschuwing wordt getoond als gebruikers erop klikken, zoals bij andere soorten uitvoerbare bestanden wel het geval is.
Daarbij was het mogelijk om het verstuurde Python-bestanden als een video te doen lijken, inclusief thumbnail. Telegram stelt in een reactie tegenover Bleeping Computer dat er geen sprake van een 'zero-click' kwetsbaarheid is, waarbij systemen zonder interactie van gebruikers zijn aan te vallen. Wel bevestigt de chatapp het genoemde probleem in Telegram Desktop bij het openen van Python-bestanden.
Volgens Telegram heeft minder dan 0,01 procent van de gebruikers Python geïnstalleerd en gebruikt de betreffende versie van Telegram Desktop. Er s inmiddels een oplossing aan de serverkant uitgerold om gebruikers te beschermen. Hoe Telegram weet hoeveel gebruikers Python geïnstalleerd hebben is onbekend, aangezien het verzamelen van dit soort data niet in het privacybeleid wordt vermeld.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.